Une enquête menée par Nor Forge sur des panneaux de contrôle de tests d'intrusion pilotés par l'IA et exposés publiquement a révélé qu'ils sont largement utilisés dans des opérations cybernétiques malveillantes. L'un d'eux est Cairn, un système de piratage alimenté par l'IA. Étant donné une cible et un objectif, il peut coordonner des agents IA pour étudier la cible, rechercher des faiblesses de sécurité et tenter une intrusion. Plus de 20 panneaux Cairn exposés ont été identifiés comme probablement liés à des activités malveillantes, offrant une vue inhabituellement détaillée de la manière dont les acteurs malveillants sélectionnent leurs cibles, dirigent des agents autonomes, exploitent des vulnérabilités et établissent un accès persistant aux systèmes compromis.
L'enquête remonte à un rapport de Gambit Security publié en septembre 2026 sur une campagne criminelle d'intrusion visant des places de marché en ligne. Les chercheurs ont récupéré un serveur de préparation de l'attaquant et ont constaté l'utilisation de cadres d'IA tels que Hermes, Strix et Cairn. Ces outils disposent souvent d'interfaces web laissées sans protection sur le web ouvert. Des recherches rapides avec Shodan et Censys ont révélé des hôtes faisant tourner ce qui semble être des cadres d'IA, dont la plupart nécessitent une autorisation. Des analyses continues ont montré que de nouveaux panneaux Cairn apparaissaient en ligne peu après, et les informations sur les cibles et les instructions ont montré qu'un grand nombre d'entre eux appartenaient aux mêmes acteurs malveillants.
Les panneaux exposés révèlent des informations sensibles sur les cibles, notamment les faiblesses découvertes, les secrets de comptes, les clés d'API et l'éventuelle compromission des systèmes. C'est pourquoi les chercheurs affirment qu'ils masquent les données extraites et retiennent les adresses des panneaux jusqu'à ce qu'ils puissent être retirés. Une tâche opérateur exposée contenait des secrets, et même un accès root au point de dépôt de données de l'attaquant a été exposé.
Cairn est plus générique qu'un simple outil de test d'intrusion. C'est un moteur de résolution de problèmes fondé sur des états, qui progresse étape par étape depuis une origine vers un objectif défini. Chaque tâche constitue un projet, et les agents publient les faits découverts sur un tableau noir partagé, où les opérateurs humains peuvent aussi ajouter des indices. Tous les chemins ne réussissent pas, mais une attaque dirigée contre un grand détaillant en ligne américain s'est terminée par l'injection d'un webshell dans le site. Plusieurs panneaux exposés semblaient aussi appartenir à des démonstrations légitimes ou à des opérations d'équipes rouges, que les chercheurs disent ne pas vouloir identifier.
Source: Hacker News · Résumé par HeadlinesBriefing